Datenschutzerklärung

2. Welche Daten wir erfassen

Wenn du unseren Assessment-Wizard nutzt, erheben wir folgende Daten:

Identitäts- und Kontaktdaten

Vorname, Nachname, E-Mail-Adresse, Telefonnummer.

Gesundheitsdaten (Art. 9 DSGVO)

Fotografien deiner aktuellen Haarsituation (Kopfhaut), deine persönliche Einschätzung des Haarausfalls (Norwood-Skala), Dauer des Haarausfalls, Angaben zu vergangenen oder aktuellen medikamentösen Behandlungen, ob bereits eine Haartransplantation stattgefunden hat, sowie deine Altersgruppe.

Präferenzdaten

Dein gewünschtes Budget und die bevorzugte Behandlungsregion.

Technische Daten

Bei jedem Aufruf der Website verarbeiten unsere Hosting-Dienstleister serverseitig Log-Daten (IP-Adresse, Browsertyp, Datum und Uhrzeit des Zugriffs), um die Website auszuliefern und unsere Systeme zu schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Während du den Fragebogen ausfüllst, speichert dein Browser deine Antworten auf deinem Gerät, damit du später weitermachen kannst. Das ist für den von dir gewünschten Dienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Nach dem Absenden wird dieser Entwurf auf dem Gerät gelöscht. Im Klinikverzeichnis speichert dein Browser außerdem nur, was du selbst auslöst: Sortierst du nach Entfernung, fragt dein Browser nach deinem Standort. Gibst du ihn frei, legen wir ihn auf etwa einen Kilometer gerundet für 24 Stunden in einem Cookie ab, damit unser Server die Entfernungen berechnen kann; gespeichert wird er bei uns nicht. Was du auf der Checkliste zur Klinikwahl abhakst, merkt sich nur dein Browser, es wird nicht an uns übertragen. Beides ist für die von dir gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO).

3. Zweck und Rechtsgrundlage der Verarbeitung

Wir verarbeiten deine Daten ausschließlich zu folgenden Zwecken:

Vermittlung & Angebotserstellung

Um deine Fotos und Gesundheitsangaben ohne Namen und Kontaktdaten (pseudonymisiert) an passende Partnerkliniken zu übermitteln, damit diese dir eine unverbindliche Kostenschätzung erstellen können. Rechtsgrundlage hierfür ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO i. V. m. Art. 6 Abs. 1 lit. a DSGVO).

Kontaktherstellung (Handover)

Deine Identitäts- und Kontaktdaten (Name, E-Mail, auf Wunsch Telefonnummer) geben wir an genau eine Klinik frei, und nur wenn du ein Angebot auswählst und die Freigabe bestätigst. Ohne deine Wahl bleiben deine Kontaktdaten bei uns. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ab der Freigabe ist die gewählte Klinik für die Daten, die sie von dir hat, selbst verantwortlich. Deine Rechte kannst du dann auch direkt ihr gegenüber geltend machen.

Authentifizierung

Für den sicheren Login via „Magic Link“ und für Nachrichten zu deiner Anfrage, etwa wenn ein Angebot da ist, nutzen wir deine E-Mail-Adresse (Art. 6 Abs. 1 lit. b DSGVO). Erinnerungen, wenn du nach Eingang der Angebote keine Klinik gewählt hast, schicken wir nur, wenn du das im Fragebogen erlaubt hast (Art. 6 Abs. 1 lit. a DSGVO).

4. Datenübermittlung in Drittländer (USA und weltweit)

Ein Kernbestandteil unseres Services ist die Weitergabe deiner Anfrage an spezialisierte Partnerkliniken, um dir unverbindliche Kostenschätzungen zu vermitteln. Der Betreiber dieser Plattform (Edert Ventures LLC) hat seinen Sitz in den USA, deshalb werden deine Daten auch in die USA übermittelt. Datenbank und Fotos speichern wir in Rechenzentren in der EU. Website-Hosting und E-Mail-Versand übernehmen Dienstleister mit Sitz in den USA (siehe Abschnitt 5).

Darüber hinaus leiten wir deine Anfrage an Partnerkliniken weiter:

Phase ohne Namen

Gleichzeitig erhalten höchstens drei Kliniken deine medizinischen Daten, Fotos und Präferenzen, ohne Namen oder direkte Kontaktdaten. Antwortet eine Klinik innerhalb von 48 Stunden nicht, kann eine weitere Klinik nachrücken.

Weltweite Übermittlung

Diese Partnerkliniken können sich in der Europäischen Union oder weltweit in anderen Ländern (z. B. in der Türkei, in Thailand oder weiteren Staaten) befinden – je nach Verfügbarkeit der passenden medizinischen Expertise und deinen im Formular angegebenen Präferenzen.

Risikohinweis

Für manche Länder außerhalb der EU und des EWR hat die Europäische Kommission nicht festgestellt, dass dort ein der EU gleichwertiges Datenschutzniveau besteht, zum Beispiel für die Türkei oder Thailand. Dort besteht insbesondere das Risiko, dass staatliche Stellen auf deine Daten zugreifen, ohne dass dir wirksame Rechtsbehelfe zustehen. Für die USA gilt eine solche Feststellung nur für Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind. Für alle anderen Empfänger in den USA bestehen dieselben Risiken.

Deine ausdrückliche Einwilligung

Mit Partnerkliniken außerhalb der EU und des EWR schließen wir EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) ab, bevor sie Anfragen sehen. Übermittlungen an Empfänger in den USA stützen wir auf das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, sonst auf Standardvertragsklauseln. Wo diese Garantien allein keinen ausreichenden Schutz bieten, stützen wir die Übermittlung zusätzlich auf deine ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO), die du vor dem Absenden deiner Anfrage aktiv erteilst.

5. Eingesetzte Dienstleister (Auftragsverarbeiter)

Um unsere Plattform technisch sicher und performant bereitzustellen, nutzen wir externe Dienstleister, mit denen wir Verträge zur Auftragsverarbeitung (AVV) geschlossen haben:

Supabase: Wir nutzen Supabase (Supabase Inc., USA) für die Datenbank, das Hosting der verschlüsselten Bilder (Storage) und die Authentifizierung. Die Übertragung erfolgt per TLS, gespeichert wird mit AES-256 verschlüsselt; die Verarbeitung erfolgt in Rechenzentren innerhalb der Europäischen Union (Hosting über AWS im Rahmen der von Supabase angebotenen EU-Regionen). Kliniken sehen Fotos nur über persönliche Links, die nach 10 Minuten ungültig werden.

Vercel: Für das Hosting unserer Website nutzen wir Vercel Inc., USA. PostHog: Mit PostHog (PostHog Inc., USA; Verarbeitung auf Servern in der EU, Frankfurt) zählen wir außerdem, welche Seiten und Fragebogen-Schritte aufgerufen werden. Dabei wird nichts auf deinem Gerät gespeichert, auch keine Cookies. Damit ein Besuch nicht doppelt zählt, bildet PostHog aus IP-Adresse und Browserangaben eine Kennung (Hash), die täglich wechselt; die IP-Adresse selbst wird nicht gespeichert. Antworten, Fotos oder Kontaktdaten werden nie übertragen. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

E-Mail-Versand: Für den Versand der Magic Links und Benachrichtigungen nutzen wir Resend (Resend Inc., USA). Resend erhält dafür deine E-Mail-Adresse und den Inhalt der Nachricht, nie deine Fotos.

Fehlerüberwachung: Damit wir technische Fehler schnell erkennen und beheben, nutzen wir Sentry (Functional Software Inc., USA; Verarbeitung auf Servern in der EU, Frankfurt). Nur wenn ein Fehler auftritt, erhält Sentry technische Angaben wie Browser, Betriebssystem, die aufgerufene Seite ohne Parameter und den Ablauf bis zum Fehler. Antworten, Fotos, Kontaktdaten und IP-Adressen übertragen wir dabei nicht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

6. Speicherdauer und Datenlöschung

Deine Daten werden nur so lange gespeichert, wie es für die Zwecke, für die sie erhoben wurden, erforderlich ist:

• Deine vier Fotos löschen wir automatisch 30 Tage, nachdem du eine Klinik gewählt hast oder die Frist für Kostenschätzungen abgelaufen ist, je nachdem, was zuerst eintritt. Danach sieht auch die gewählte Klinik sie nicht mehr bei Trichio. Bis zu deiner Wahl dürfen Kliniken deine Fotos und Angaben laut unseren AGB nur bei Trichio ansehen und keine Kopien anfertigen. Erst die Klinik, die du wählst, darf sie für deine Beratung speichern.
• Hast du keine Klinik gewählt, löschen wir deine Anfrage mit Gesundheitsangaben und, falls noch vorhanden, Fotos automatisch 6 Monate nach der letzten Aktivität (Anfrage, Fotos, letzte Kostenschätzung oder letzte Anmeldung). Das gilt auch, wenn deine Anfrage nie an Kliniken ging. Hast du keine weitere Anfrage, löschen wir dabei auch dein Konto.
• Hast du deinen Kontakt an eine Klinik freigegeben, löschen wir deine Gesundheitsangaben 12 Monate nach der Freigabe. Die Angaben zur Vermittlung (welche Klinik, wann, an wen) bewahren wir so lange auf, wie handels- und steuerrechtliche Pflichten es verlangen. Server-Logs löschen unsere Hosting-Dienstleister spätestens nach 30 Tagen. Früher löschen wir jederzeit, wenn du es per E-Mail an support@trichio.com verlangst.
• Als Nachweis deiner Einwilligungen speichern wir Zeitpunkt, IP-Adresse, Browserkennung und die Version des Einwilligungstexts (Art. 7 Abs. 1 DSGVO, Art. 6 Abs. 1 lit. c DSGVO). Diese Angaben löschen wir zusammen mit deiner Anfrage.

7. Deine Rechte als betroffene Person

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung deiner Daten („Recht auf Vergessenwerden“, Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).

Widerruf deiner Einwilligung: Du kannst deine erteilten Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen. Sende hierzu einfach eine E-Mail an unsere oben genannte Kontaktadresse. Widerspruch (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Log-Daten, Statistik), kannst du dem aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Beschwerde (Art. 77 DSGVO): Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Land, in dem du wohnst oder arbeitest.

8. Klinikverzeichnis

Im Klinikverzeichnis zeigen wir Kliniken für Haartransplantationen, auch solche ohne Vertrag mit Trichio.

Angaben zu Kliniken, Ärztinnen und Ärzten

Für Kliniken ohne Vertrag übernehmen wir öffentliche Angaben von der eigenen Website der Klinik und aus öffentlichen Registern, jeweils mit Quelle und Datum. Dazu können Namen, Fachrichtung, Qualifikationen und Mitgliedschaften der dort tätigen Ärztinnen und Ärzte gehören. Rechtsgrundlage ist unser berechtigtes Interesse und das von Patientinnen und Patienten, sich vor einer Behandlung neutral über Anbieter zu informieren (Art. 6 Abs. 1 lit. f DSGVO). Wir zeigen die Angaben, solange die Klinik im Verzeichnis steht. Als Ärztin, Arzt oder Klinik kannst du der Veröffentlichung jederzeit widersprechen (Art. 21 DSGVO), Angaben korrigieren lassen oder die Entfernung verlangen: über das Formular auf dem Profil oder per E-Mail an support@trichio.com.

Bewertungen und Bilder von Google

Bewertung, Anzahl der Bewertungen, ein Bild und gegebenenfalls Rezensionen einer Klinik ruft unser Server bei jedem Aufruf bei Google ab (Google Places API; Google Ireland Limited, Irland, und Google LLC, USA). Auch das Bild liefern wir über unseren Server aus. Dein Browser nimmt dabei keine Verbindung zu Google auf, und Google erhält weder deine IP-Adresse noch andere Angaben über dich. Von Google speichern wir nur die Kennung des Ortes, nicht die Bewertungen oder Bilder. Rezensionen zeigen den Namen, den die Verfassenden bei Google angegeben haben (Art. 6 Abs. 1 lit. f DSGVO). Erst wenn du einen Link zu Google Maps anklickst, verlässt du Trichio; dann gilt die Datenschutzerklärung von Google.

Anfragen von Kliniken

Möchte eine Klinik ihr Profil übernehmen, eine Angabe korrigieren oder die Entfernung verlangen, verarbeiten wir Name, E-Mail-Adresse, auf Wunsch die Funktion in der Klinik und die Nachricht. Damit bearbeiten wir die Anfrage und prüfen, ob die Person für die Klinik sprechen darf (Art. 6 Abs. 1 lit. b und f DSGVO). Den Bestätigungslink für die Übernahme verschicken wir über Resend (siehe Abschnitt 5).

9. Klinikkonten und Änderungsprotokoll

Dieser Abschnitt gilt für Mitarbeitende von Kliniken mit einem Konto bei Trichio.

Für das Konto verarbeiten wir Name, E-Mail-Adresse, Rolle und Anmeldedaten (Art. 6 Abs. 1 lit. b DSGVO). Entwürfe für Kostenschätzungen speichert dein Browser lokal, bis du sie absendest (§ 25 Abs. 2 Nr. 2 TDDDG).

Jede Änderung an Verzeichnisprofilen und Klinikkonten protokollieren wir mit Zeitpunkt, den geänderten Feldern, der handelnden Person, ihrer Rolle und der Quelle. So bleibt nachvollziehbar, wer welche Angabe wann gemacht hat, was Patientinnen und Patienten vor falschen Angaben schützt (Art. 6 Abs. 1 lit. f DSGVO). Einträge im Protokoll lassen sich nachträglich nicht ändern.